Массовая проверка заголовков безопасности (HSTS, CSP)
Заголовки безопасности — дешёвый уровень защиты на уровне конфигурации, оберегающий посетителей даже там, где в коде приложения есть дыра: HSTS останавливает даунгрейд протокола и кражу cookie в открытом Wi-Fi…
Подробнее об инструменте
X-Content-Type-Options мешает атакам на снифинг типа содержимого, Content-Security-Policy блокирует большинство межсайтовых скриптов, X-Frame-Options борется с кликджекингом, а Referrer-Policy и Permissions-Policy не дают приватным данным утекать третьим сторонам. Эта массовая проверка проходит по целому списку доменов и показывает, какие из шести ключевых заголовков реально отдаёт каждый сайт, с полными значениями в деталях строки. Заодно проверяются две базовые вещи о транспорте: что сайт вообще работает по HTTPS и что обычный HTTP редиректит на HTTPS до отдачи чего-либо ещё. Сайты, где заголовков меньше вашего порога, подсвечиваются — отчёт превращается в готовый чек-лист для настройки сервера и CDN и в способ убедиться, что заголовки действительно доехали после деплоя.
Как это работает
- Вставьте до 100 адресов, по одному на строку. Дубликаты удаляются автоматически.
- Если в строке вставлен полный URL, из него берётся только имя хоста.
- Проверка выполняется в фоне; на странице результатов виден живой прогресс.
- Отфильтруйте отчёт по статус-коду и выгрузите его в CSV.
Лимит: 5 заданий в час с одного IP-адреса. Результаты хранятся 7 дн.
Частые вопросы
Все шесть заголовков обязательны?
Нет. HSTS, X-Content-Type-Options и разумный Referrer-Policy — дешёвые дефолты, доступные каждому сайту; CSP — самый мощный, но и самый сложный для легаси-фронтендов — отчёт, падающий только из-за CSP, ещё не авария. Порог в форме позволяет задать свою планку.
Почему некоторые сайты отвечают на HEAD кодом 405?
Немного серверов отвергают HEAD-запросы. Для этой проверки это не страшно: ответ всё равно несёт все заголовки безопасности, а инструмент читает их при любом статусе — сам статус виден в отчёте.
HSTS на дев-поддомене — безопасно?
Осторожно: HSTS с includeSubDomains, закреплённый на корневом домене, делает все поддомены HTTPS-only на весь max-age, и браузеры это помнят. Проверьте, какое значение реально отдаёт сайт — полный заголовок виден в деталях строки.
Что считается «редиректит на HTTPS»?
Запрос по обычному http:// должен вернуть 3xx-редирект на https-адрес — сразу на тот же URL или через хоп канонического хоста (http://site → https://site). Всё остальное считается «без редиректа».
Может ли это сломать мой сайт?
Проверка только читает: отправляются запросы и читаются заголовки, ничего не меняется. Внедрение самих заголовков — отдельная ваша задача, а отчёт позволяет перепрогнать список и убедиться, что каждый заголовок действительно заработал.
Другие инструменты
Массовая проверка доменов по чёрным спискам (DNSBL)
Бесплатная массовая проверка по чёрным спискам: вставьте домены и проверьте их по Spamhaus, Barracuda, SpamCop, SORBS и SURBL за один прогон. Сразу видно, в блэклисте ли домен или его IP. Экспорт в CSV.
Принимает список доменовМассовая проверка DNS-записей (A, AAAA, MX, NS, TXT)
Бесплатная массовая DNS-проверка со своим DNS-сервером: вставьте домены и получите A, AAAA, CNAME, MX, NS, TXT, SOA и SRV записи, сгруппированные по типам, — по записи на строку, с TTL, приоритетами MX, кнопками копирования и экспортом в CSV.
Принимает список доменовМассовая проверка сроков регистрации доменов (RDAP)
Бесплатная массовая проверка сроков доменов через RDAP с автоматическим WHOIS-фолбэком: вставьте список доменов и получите регистратора, даты регистрации и окончания и остаток дней для каждого. Домены, истекающие в течение 30 дней, подсвечиваются. Ответы реестров кешируются на 24 часа. Экспорт в CSV.
Принимает список доменовМассовая проверка HTTP-статусов URL
Бесплатная массовая проверка HTTP-статусов: вставьте до 100 URL и получите коды ответов, цепочки редиректов, конечные адреса и время отклика. Экспорт результата в CSV.
Принимает список URLМассовая проверка индексации (noindex, X-Robots-Tag, canonical)
Бесплатная массовая проверка индексации: вставьте URL и найдите мета-теги noindex, заголовки X-Robots-Tag, nofollow, canonical и hreflang. Экспорт аудита в CSV.
Принимает список URLМассовая проверка почтовых записей (SPF, DKIM, DMARC, MX)
Бесплатная массовая проверка почтовых записей: вставьте домены и проверьте SPF, DKIM, политики DMARC и MX-записи. Убедитесь, что домены могут отправлять почту и не подделываются. Экспорт в CSV.
Принимает список доменовМассовая проверка метатегов (Title, Description, H1)
Бесплатная массовая проверка метатегов: вставьте URL и получите Title, мета-описание, H1 и счётчики заголовков с проверкой длин и поиском дублей. Экспорт SEO-аудита в CSV.
Принимает список URLМассовая проверка Open Graph и Twitter Cards
Бесплатная массовая проверка Open Graph: вставьте URL и проверьте og:title, og:description, og:image, twitter:card и остальные теги соцпревью. Экспорт отчёта в CSV.
Принимает список URLМассовая проверка исходящих ссылок и битых ссылок
Бесплатная массовая проверка исходящих ссылок: вставьте URL, посчитайте внешние и внутренние ссылки, dofollow/nofollow и найдите битые (404, 5xx, мёртвые домены). Экспорт аудита в CSV.
Принимает список URLМассовая проверка robots.txt
Бесплатная массовая проверка robots.txt: вставьте список доменов и узнайте статус /robots.txt, число редиректов, размер файла, количество директив Sitemap и не заблокированы ли все роботы. Экспорт в CSV.
Принимает список доменовМассовая проверка SSL-сертификатов
Бесплатная массовая проверка SSL-сертификатов: вставьте список доменов и сразу увидите субъект, издателя, соответствие домену, дату окончания и запас в днях до продления. Находите истекающие сертификаты до того, как они станут инцидентом. Экспорт в CSV.
Принимает список доменовМассовый замер TTFB и скорости
Бесплатный массовый замер TTFB: вставьте список URL и измерьте время до первого байта, полное время ответа и размер HTML каждой страницы. Экспорт отчёта в CSV.
Принимает список URL